产品解决方案文档与社区权益中心定价云市场合作伙伴支持与服务了解阿里云
备案控制台登录/注册
首页 阿里云SDK 开发参考 Python SDK V2.0 Python SDK 管理访问凭据

管理访问凭据

更新时间: 2023-11-08 17:27:48

使用阿里云SDK方式调用OpenAPI时，需要提供凭据信息，阿里云提供的Credentials工具封装了获取和管理凭据的功能逻辑，帮助您快速创建请求客户端。

背景信息

凭据是指用户证明其身份的一组信息。用户在系统中进行登录时，需要提供正确的凭据才能验证身份。常见的凭据类型有：

  1. 阿里云主账号和RAM用户的永久凭据 AccessKey（简称AK）。一组由AccessKey ID和AccessKey Secret组成的密钥对。

  2. 阿里云RAM角色的STS临时访问Token，简称STS Token。它是可以自定义时效和访问权限的临时身份凭据，详情请参见什么是STS。

  3. Bearer Token。它是一种身份验证和授权的令牌类型。

前提条件

  • 使用Credentials工具要求Python版本 >= 3.0。

  • 使用V2.0版本的阿里云SDK。

  • 自建网关类产品的自研SDK无法使用。

安装Credentials工具

使用pip安装（推荐），如未安装pip,请先安装pip。更多信息，请参见pip官网pip user guide。

pip install alibabacloud_credentials

  1. 建议使用最新发布的Credentials工具版本。

  2. 请查看ChangeLog.txt获取所有已发布的版本列表。

初始化凭据客户端

Credentials工具支持多种方式初始化凭据客户端。您可通过设置type指定类型。

使用默认凭据链

当您在初始化凭据客户端不传入任何参数时，Credentials工具会使用默认凭据链方式初始化客户端。默认凭据的读取逻辑请参见默认凭据链。

from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_ocr20191230.client import Client as OcrClient
from alibabacloud_ocr20191230.models import GetAsyncJobResultRequest
from alibabacloud_tea_rpc.models import Config
from alibabacloud_tea_util.models import RuntimeOptions
# 不指定参数
cred = CredClient()
config = Config(credential=cred)
client = OcrClient(config)
request = GetAsyncJobResultRequest(
    job_id='<job_id>'
)
runtime_options = RuntimeOptions()
response = client.get_async_job_result(request, runtime_options)

使用AK

阿里云账号、RAM用户可生成调用OpenAPI的密钥对AK。如何获取AK请参见文档创建AccessKey。您可使用AK初始化凭据客户端。

警告

阿里云主账号拥有资源的全部权限，AK一旦泄露，会给系统带来巨大风险，不建议使用。

推荐使用最小化授权的RAM用户的AK。

import os
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config

config = Config(
	type='access_key',
	access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
	access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
)
cred = Client(config)

access_key_id = cred.get_access_key_id()
access_key_secret = cred.get_access_key_secret()
cred_type = cred.get_type()

使用STS Token

以一个RAM用户的身份调用STS服务的AssumeRole接口，设置Token的最大过期时间，即可换取到临时凭据STS Token。以下示例演示如何使用STS Token初始化凭据客户端（不包含如何获取到STS Token的过程）。

import os
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config

config = Config(
	type='sts',
	access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
	access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
	security_token=os.environ.get('ALIBABA_CLOUD_SECURITY_TOKEN')
)
cred = Client(config)

access_key_id = cred.get_access_key_id()
access_key_secret = cred.get_access_key_secret()
security_token = cred.get_security_token()
cred_type = cred.get_type()

使用AK及RamRoleArn

该方式底层实现是STS Token。通过指定RAM角色的ARN（Alibabacloud Resource Name），Credentials工具可以帮助开发者前往STS换取STS Token。您也可以通过为policy赋值来限制RAM角色到一个更小的权限集合。

import os
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config

config = Config(
	type='ram_role_arn',
	access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
	access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
	security_token=os.environ.get('ALIBABA_CLOUD_SECURITY_TOKEN'),
	# 要扮演的RAM角色ARN，示例值：acs:ram::123456789012****:role/adminrole
	role_arn='<RoleArn>',
	# 角色会话名称
	role_session_name='<RoleSessionName>',
	# 设置更小的权限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
	policy='<Policy>',
	role_session_expiration=3600
)
cred = Client(config)

access_key_id = cred.get_access_key_id()
access_key_secret = cred.get_access_key_secret()
security_token = cred.get_security_token()
cred_type = cred.get_type()

使用ECS实例RAM角色

该方式底层实现是STS Token。Credentials工具会自动获取ECS实例绑定的RAM角色，调用ECS的元数据服务（Meta Data Server）换取STS Token，完成凭据客户端初始化。ECI实例，容器服务 Kubernetes 版的Worker节点均支持绑定实例RAM角色。

from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config

config = Config(
	type='ecs_ram_role',
	# 可选项，不填会自动获取，但是建议加上以减少请求次数
	role_name='<RoleName>'
)
cred = Client(config)

access_key_id = cred.get_access_key_id()
access_key_secret = cred.get_access_key_secret()
security_token = cred.get_security_token()
cred_type = cred.get_type

使用OIDCRoleArn

在容器服务 Kubernetes 版中设置了Worker节点RAM角色后，对应节点内的Pod中的应用也就可以像ECS上部署的应用一样，通过元数据服务（Meta Data Server）获取关联角色的STS Token。但如果容器集群上部署的是不可信的应用（比如部署您的客户提交的应用，代码也没有对您开放），您可能并不希望它们能通过元数据服务获取Worker节点关联实例RAM角色的STS Token。为了避免影响云上资源的安全，同时又能让这些不可信的应用安全地获取所需的 STS Token，实现应用级别的权限最小化，您可以使用RRSA（RAM Roles for Service Account）功能。阿里云容器集群会为不同的应用Pod创建和挂载相应的服务账户OIDC Token文件，并将相关配置信息注入到环境变量中，Credentials工具通过获取环境变量的配置信息，调用STS服务的AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证接口换取绑定角色的STS Token。详情请参见通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离。

注入的环境变量如下：

ALIBABA_CLOUD_ROLE_ARN：RAM角色名称ARN；

ALIBABA_CLOUD_OIDC_PROVIDER_ARN：OIDC提供商ARN；

ALIBABA_CLOUD_OIDC_TOKEN_FILE：OIDC Token文件路径；

import os

from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config

config = Config(
	type='oidc_role_arn',
	access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
	access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
	security_token=os.environ.get('ALIBABA_CLOUD_SECURITY_TOKEN'),
	role_arn=os.environ.get('ALIBABA_CLOUD_ROLE_ARN'),
	oidc_provider_arn=os.environ.get('ALIBABA_CLOUD_OIDC_PROVIDER_ARN'),
	oidc_token_file_path=os.environ.get('ALIBABA_CLOUD_OIDC_TOKEN_FILE'),
	# 角色会话名称
	role_session_name='<RoleSessionName>',
	# 设置更小的权限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
	policy='<Policy>',
	# 设置session过期时间
	role_session_expiration=3600
)
cred = Client(config)

access_key_id = cred.get_access_key_id()
access_key_secret = cred.get_access_key_secret()
security_token = cred.get_security_token()
cred_type = cred.get_type()

使用URI凭据

该方案底层实现是STS Token。Credentials工具通过您提供的URI获取STS Token，完成凭据客户端初始化。

from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config

config = Config(
	type='credentials_uri',
	# 换取凭证的 URI，格式为http://local_or_remote_uri/
	credentials_uri='<local_or_remote_uri>',
)
cred = Client(config)

access_key_id = cred.get_access_key_id()
access_key_secret = cred.get_access_key_secret()
security_token = cred.get_security_token()
cred_type = cred.get_type()

使用Bearer Token

目前只有云呼叫中心CCC这款产品支持Bearer Token的凭据初始化方式。

from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config

config = Config(
	type='bearer',
	# 填入您的Bearer Token
	bearer_token='<BearerToken>',
)
cred = Client(config)

access_key_id = cred.get_access_key_id()
access_key_secret = cred.get_access_key_secret()
security_token = cred.get_security_token()
cred_type = cred.get_type()

默认凭据链

当您的程序开发环境和生产环境采用不同的凭据类型，常见做法是在代码中获取当前环境信息，编写获取不同凭据的分支代码。借助Credentials工具的默认凭据链，您可以用同一套代码，通过程序之外的配置来控制不同环境下的凭据获取方式。当您在不传入参数的情况下，直接使用cred = CredClient()初始化凭据客户端时，阿里云SDK将会尝试按照如下顺序查找相关凭据信息。

1. 使用环境变量

Credentials工具优先在环境变量中获取凭据信息。如果系统环境变量ALIBABA_CLOUD_ACCESS_KEY_ID（密钥Key） 和 ALIBABA_CLOUD_ACCESS_KEY_SECRET（密钥Value） 不为空，Credentials工具会优先使用它们作为默认凭据。

2. 使用OIDC RAM角色

若不存在优先级更高的凭据信息，Credentials工具会在环境变量中获取如下内容：

ALIBABA_CLOUD_ROLE_ARN：RAM角色名称ARN；

ALIBABA_CLOUD_OIDC_PROVIDER_ARN：OIDC提供商ARN；

ALIBABA_CLOUD_OIDC_TOKEN_FILE：OIDC Token文件路径；

若以上三个环境变量都有设置内容，Credentials工具将会使用变量内容调用STS服务的AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证接口换取STS Token作为默认凭据。

3. 使用配置文件

若不存在优先级更高的凭据信息，Credentials工具优先在如下位置查找文件是否存在。

Linux系统：~/.alibabacloud/credentials.ini

Windows系统：C:\Users\USER_NAME\.alibabacloud\credentials.ini

您也可通过指定 ALIBABA_CLOUD_CREDENTIALS_FILE 指定配置文件路径。如果文件存在，程序将会使用配置文件中default 指定的凭据信息初始化凭据客户端，当然您也可以通过设置 ALIBABA_CLOUD_PROFILE 环境变量修改默认读取的凭据信息。

[default]
enable = true
type = access_key
access_key_id = foo
access_key_secret = bar

[client1]
type = ecs_ram_role
role_name = EcsRamRoleTest

[client2]
enable = false 
type = ram_role_arn 
region_id = cn-test 
policy = test
access_key_id = foo
access_key_secret = bar
role_arn = role_arn
role_session_name = session_name 

[client3]
type = rsa_key_pair
public_key_id = publicKeyId 
private_key_file = /your/pk.pem 

[client4] 
enable = false
type = oidc_role_arn
region_id = cn-test
policy = test
access_key_id = foo
access_key_secret = bar
role_arn = role_arn
oidc_provider_arn = oidc_provider_arn
oidc_token_file_path = /xxx/xxx
role_session_name = session_name

4. 使用ECS实例RAM角色

若不存在优先级更高的凭据信息，Credentials工具会在环境变量中获取ALIBABA_CLOUD_ECS_METADATA（ECS实例RAM角色名称），若存在，程序将会通过ECS的元数据服务（Meta Data Server）获取ECS实例RAM角色的STS Token作为默认凭据信息。

5. 使用Credentials工具 URI

若不存在优先级更高的凭据信息，Credentials工具会在环境变量中获取ALIBABA_CLOUD_CREDENTIALS_URI，若存在，程序会将该环境变量的值作为Credentials工具 URI地址，在调用时，获取临时安全凭证。

如何保护凭据信息

凭据信息泄露导致系统被攻击是云上业务普遍存在的一种安全问题，您可通过如下方案避免在代码中暴露明文凭据信息，降低凭据泄露的风险。

  1. 推荐使用ECS实例RAM角色或者使用STS方式。

  2. 推荐使用默认凭据链，使用环境变量或者配置文件记录凭据信息。

  3. 如使用显示初始化方案初始化凭据客户端，推荐使用系统属性及环境变量记录凭据信息，通过os.getenv及 os.environ.get获取。

from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config
import os

config = Config(
	type='access_key',
	access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
	access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
)
cred = Client(config)
access_key_id = cred.get_access_key_id()
access_key_secret = cred.get_access_key_secret()
cred_type = cred.get_type()

如何切换凭据

当您想要在程序中使用不同的访问凭据调用不同OpenAPI时，可以通过如下方式。

使用多个凭据客户端

通过初始化多个凭据客户端，传入到不同的接口请求客户端。

from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config

config1 = Config(
	type='access_key',
	access_key_id='<ALIBABA_CLOUD_ACCESS_KEY_ID>',
	access_key_secret='<ALIBABA_CLOUD_ACCESS_KEY_SECRET>',
)
cred1 = Client(config1)

config2 = Config(
	type='access_key',
	access_key_id='<ALIBABA_CLOUD_ACCESS_KEY_ID>',
	access_key_secret='<ALIBABA_CLOUD_ACCESS_KEY_SECRET>',
)
cred2 = Client(config2)

使用AuthUtils

当我们初始化凭据客户端采用配置文件记录凭据信息时，可以使用auth_util.client_type切换到不同的凭据配置上。

[default]
enable=true
type=access_key
access_key_id=<access_key_id>
access_key_secret=<access_key_secret>

[client1]
enable=true
type=sts
access_key_id=<access_key_id>
access_key_secret=<access_key_secret>
security_token=<security_token>

[client2]
enable=true
type=ecs_ram_role
role_name=<ecs_ram_role_name>

示例代码如下。

from alibabacloud_credentials.utils import auth_util
from alibabacloud_credentials.client import Client

# 若不配置AuthUtils类clientType属性，则默认使用default。
credentialClient = Client()
# 切换到client1凭据上
auth_util.client_type="client1"
credentialClient1 = Client()
# 切换到client2凭据上
auth_util.client_type="client2"
credentialClient2 = Client()

阿里云首页 阿里云SDK 相关技术圈
为什么选择阿里云什么是云计算全球基础设施技术领先稳定可靠安全合规分析师报告
产品和定价全部产品免费试用产品动态产品定价价格计算器云上成本管理
解决方案技术解决方案行业解决方案
文档与社区文档开发者社区天池大赛培训与认证
权益中心免费试用高校计划企业扶持计划推荐返现计划
支持与服务基础服务企业增值服务迁云服务官网公告系统状态信任中心
关注阿里云
关注阿里云公众号或下载阿里云APP，关注云资讯，随时随地运维管控云服务
阿里云APP阿里云微信
售前咨询：95187-1
售后服务：400-80-13260
法律声明及隐私权政策Cookies政策廉正举报安全举报联系我们加入我们
阿里巴巴集团淘宝网天猫全球速卖通阿里巴巴国际交易市场1688阿里妈妈飞猪阿里云计算AliOS万网高德UC友盟优酷钉钉支付宝达摩院淘宝海外阿里云盘饿了么
© 2009-2023 Aliyun.com 版权所有 增值电信业务经营许可证： 浙B2-20080101 域名注册服务机构许可： 浙D3-20210002 京D3-20220015
浙公网安备 33010602009975号浙B2-20080101-4
关注我们：
新浪微博
联系我们
© 2009-2023 Aliyun.com 版权所有<br/>增值电信业务经营许可证： <a href="http://beian.miit.gov.cn/" target="_blank">浙B2-20080101</a> <br/>域名注册服务机构许可： <a href="https://domain.miit.gov.cn/域名注册服务机构/互联网域名/阿里云计算有限公司 " target="_blank">浙D3-20210002</a> <a href="https://domain.miit.gov.cn/域名注册服务机构/互联网域名/阿里巴巴云计算北京有限公司 " target="_blank">京D3-20220015</a>